滲透測試

網頁應用程式滲透測試

由測試員主導，對網頁應用程式的安全控制措施進行審查，包括自動掃描器無法可靠評估的已認證工作流程和業務邏輯。

評估範圍

測試內容

最終測試覆蓋範圍在範圍界定期間協定，並限於已提供書面授權的系統。

身份驗證和帳戶恢復

會話管理

存取控制及權限邊界

輸入處理和注入風險

業務邏輯濫用

敏感數據和瀏覽器安全控制

委聘流程

定義目標、經批准的系統、限制、測試窗口、聯繫人及交戰規則。

確立經授權的攻擊面、架構、用戶角色、資產和適用的評估標準。

使用適合環境的手動和技術方法評估經批准的範圍。

安全地確認發現，消除誤報，並建立切實可行的技術和業務影響。

接收附有證據、風險評級、執行摘要和修復優先次序的調查結果。

與評估團隊審閱擬議的糾正措施並釐清實施優先次序。

驗證已議定的修復措施，並記錄每個經測試的發現是否已解決、減少或仍未解決。

評估參考

網絡應用程式安全評估的測試覆蓋範圍。

根據已議定的保證級別，驗證控制措施及報告內容。

範圍界定、受控驗證、測試後分析和報告。

標準指導範圍和測試覆蓋範圍。評估本身不構成認證或保證合規性。

報告

覆蓋範圍與商定的應用程式功能相符。

可重現的技術發現事項

證據和受影響角色

開發團隊的補救指引

可選的驗證重測

與 DIGITPOL HK 討論系統、目標、存取權限級別和所需證明。